Een bedrijf gebruikt AWS Organizations en implementeert alle resources (inclusief IAM- en S3-policies) via CloudFormation vanuit CodeCommit. Ontwikkelaars in sommige accounts hebben recentelijk geen toegang tot een S3-bucket. De bucket heeft een policy (hier niet getoond). Wat moet de DevOps engineer doen om het toegangsprobleem op te lossen?

De juiste aanpak is om te controleren of Service Control Policies (SCP's) of IAM permissions boundaries de toegang blokkeren. SCP's kunnen op organisatieniveau toegang tot specifieke AWS-services of acties weigeren, terwijl permissions boundaries de maximale permissies voor IAM-entiteiten beperken. Aangezien alle resources via CloudFormation vanuit CodeCommit worden geïmplementeerd, moeten eventuele benodigde wijzigingen in SCP's of IAM permissions boundaries in de CodeCommit-repository worden aangebracht en vervolgens opnieuw worden geïmplementeerd via CloudFormation om consistentie en versiebeheer te waarborgen. De andere opties zijn onjuist: Het wijzigen van de S3-bucketpolicy en het uitschakelen van S3 Block Public Access is niet de meest waarschijnlijke oorzaak, en het toevoegen van aws:SourceAccount is niet voldoende als SCP's of permissions boundaries de toegang al blokkeren. Het gebruik van een AWS Config recorder om wijzigingen terug te draaien is reactief en pakt de hoofdoorzaak (SCP's of permissions boundaries) niet aan. Het maken van een SCP die voorkomt dat ontwikkelaars IAM-resources wijzigen, is niet direct gerelateerd aan het oplossen van S3-toegangsproblemen en kan zelfs nieuwe problemen veroorzaken.